Zenity Labs révèle la faille qui exposait toute une région AWS

Une faille régionale Une chaîne de vulnérabilités d’Amazon Bedrock AgentCore permettait à un agent d’IA exposé publiquement de prendre le contrôle de tous les agents de la même région AWS. Une seule intervention dans une conversation suffisait, selon les chercheurs de Zenity Labs. Ils ont nommé cette chaîne « AgentCorruption ». Le scénario concernait les agents déployés dans un même compte et une même région AWS. Les chercheurs ont signalé leurs conclusions à AWS le 25 décembre 2025. Cette découverte place les permissions d’exécution et l’accès aux métadonnées internes au centre du problème. Le risque touchait donc l’organisation des agents, plutôt qu’un seul service isolé.

Des permissions trop larges Les permissions par défaut d’AgentCore n’étaient pas limitées à l’agent qui les recevait. Elles autorisaient des accès de lecture, d’écriture et de suppression pour chaque agent de la région. Zenity Labs affirme qu’un seul message pouvait ainsi permettre de prendre le contrôle de tous les agents AgentCore du même compte et de la même région. Selon les chercheurs, cette prise de contrôle exposait des conversations privées, du code source et des identifiants stockés. Ces éléments décrivent une propagation latérale entre agents. Le modèle de permission créait donc une portée régionale dès qu’un agent public devenait exploitable.

Zenity Labs détaille AgentCorruption

Une correction partielle AWS a partiellement corrigé le problème après le signalement de Zenity Labs. L’entreprise a resserré le rôle d’exécution par défaut d’AgentCore. Elle a également rendu plus difficile la récupération des métadonnées internes par les nouveaux agents. AWS a ensuite défini IMDSv2 comme configuration par défaut pour les nouveaux déploiements AgentCore. Ces mesures modifient les réglages initiaux de la plateforme. Elles interviennent après le signalement du 25 décembre 2025. Le récit détaillé des chercheurs est disponible sur Zenity Labs. Un article consacré à l’accès aux identifiants décrit aussi plusieurs conséquences techniques du scénario.

Des accès à réduire Zenity Labs recommande aux entreprises d’attribuer manuellement à leurs agents des rôles plus stricts. Les chercheurs préconisent des droits d’accès minimaux pour chaque agent. Cette recommandation répond directement à la portée des permissions par défaut observées dans AgentCore. Elle ne repose pas sur une séparation automatique entre l’agent qui reçoit un rôle et les autres agents régionaux. Les analyses publiées par Zenity Labs détaillent notamment le vol d’identifiants depuis AWS Secrets Manager et d’autres mécanismes associés. Le récit consacré à AgentCorruption présente le problème du rôle unique utilisé par plusieurs agents.

Le calendrier évolue Les chercheurs ont signalé les vulnérabilités le 25 décembre 2025. AWS a ensuite renforcé les paramètres par défaut d’AgentCore, notamment pour les rôles d’exécution et l’accès aux métadonnées. IMDSv2 est devenu la configuration par défaut des nouveaux déploiements. Ces changements concernent les nouveaux déploiements, tandis que Zenity Labs recommande une attribution manuelle de rôles minimaux. La chronologie de cette correction est documentée après la découverte annoncée par les chercheurs. Les détails techniques publiés par The Decoder replacent l’incident dans le fonctionnement d’AgentCore et de ses permissions régionales. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur.